İletişim formları neden spam alır ve bu neden can sıkıntısından fazlasıdır?

İletişim formu olan hemen her web sitesi bu durumu bilir: yayına alındıktan birkaç gün sonra, aslında kimsenin yazmadığı ilk mesajlar gelmeye başlar. SEO hizmeti teklifleri, şüpheli mağaza bağlantıları, sitenin hiç kullanmadığı dillerde metinler. Çoğu kişi bunları silip geçer; bu da sorunu hafife almaktır. Form spamı, gelen kutusundaki gürültüden ibaret değildir; kendi web sitenizi size karşı çalışan bir araca dönüştürebilir.

Form spamını kim gönderir?

• Tarama botları. Otomatik programlar bir giriş alanı, metin alanı veya gönder düğmesi gibi forma benzeyen her şeyi internette arar ve doldurur. Sırf formunuz var olduğu için sizi bulurlar.
• Ucuz betikler ve hazır araçlar. Toplu form gönderim yazılımlarını edinmek kolaydır. Tek bir kişi, tek satır kod yazmadan günde binlerce mesaj gönderebilir.
• SEO bağlantı spamı. Birçok mesajın tek amacı bir yere bağlantı bırakmaktır: gelen kutunuza, yorum alanına veya gönderimleri yayımlayan bir sayfaya. Umut edilen, bağlantının bir yerde dizine alınması veya birinin ona tıklamasıdır.
• Kimlik avı ve kötü amaçlı yazılım. Bazı mesajlar faturaları, şikâyetleri, telif hakkı bildirimlerini veya “web sitenizde bir sorun var” uyarılarını taklit eder ve sahte bir giriş sayfasına ya da dosyaya bağlantı içerir. Kendi formunuzdan geldikleri için çoğu zaman sıradan e-postalardan daha güvenilir görünürler.

Spamı formunuz gönderdiğinde

Birçok form, ziyaretçinin girdiği adrese otomatik onay gönderir: “Mesajınız için teşekkürler, yazdıklarınızın bir kopyası burada.” Gerçek bir ziyaretçi için bu hoş bir davranıştır. Spam gönderen içinse bir fırsattır. Bot e-posta alanına başkasının adresini girer, mesaja reklamını veya kimlik avı bağlantısını koyar. Sunucunuz da bu metni, sizin alan adınız altında, sitenizi hiç ziyaret etmemiş bir yabancıya eksiksiz gönderir.

Posta sağlayıcıları, gelen postaları kısmen gönderen alan adının ve sunucunun itibarına göre değerlendirir. Spam şikâyetleri, spam tuzaklarına gönderimler ve hacimdeki ani artışlar aleyhinize sayılır. İşin can sıkıcı yanı: SPF, DKIM ve DMARC burada yardımcı olmaz. Bu mekanizmalar bir mesajın gerçekten alan adınızdan geldiğini doğrular; bu durumda da gerçekten öyledir. Kimlik doğrulama, içeriğin istendiğini değil, kaynağı kanıtlar. İtibar düştüğünde normal iş postalarınız da etkilenir: teklifler, faturalar ve müşterilere yanıtlar spam klasörlerine düşmeye başlar ve toparlanmak uzun sürebilir.

Bununla ilişkili bir hata, hiç spam olmadan da zarar verir. Bazı form kurulumları bildirimi, gönderen (“From”) olarak ziyaretçinin adresiyle gönderir. Sunucunuz bu ziyaretçinin alan adı adına posta göndermeye yetkili değildir; dolayısıyla SPF ve DKIM, From adresiyle hizalanmaz. Bu alan adı katı bir DMARC politikası yayımlıyorsa mesaj reddedilir veya spama atılır; gerçek talepler de buna dahildir. Daha temiz yöntem: kendi alan adınızdaki bir adresten gönderin ve ziyaretçinin adresini Reply-To alanına koyun.

Bir de günlük zararlar var

• Boşa harcanan zaman. Birinin okuması, ayıklaması ve silmesi gerekir. Günde birkaç dakika, bir yılda tam iş günlerine ulaşır.
• Gerçek talepler kaybolur. Gelen kutusu çoğunlukla çöple doluysa insanlar üstünkörü okur veya sert filtreler kurar. Tek gerçek fiyat teklifi talebi de diğerleriyle birlikte silinir ya da bir hafta geç yanıtlanır.
• Kimlik avı ekibinize ulaşır. Kendi iletişim formunuzdan gelen bir bağlantıya, rastgele bir e-postadakine göre daha kolay tıklanır. Sahte bir giriş sayfasına girilen tek bir parola, tüm spamın toplamından daha pahalıya mal olabilir.
• Kirlenmiş veriler. Gönderimler bir CRM'e, bülten listesine veya destek talep sistemine akıyorsa sahte kayıtlar verileri çarpıtır ve başka otomatik e-postaları tetikleyebilir.

“Korunuyor” pratikte ne demektir?

Tek bir açma kapama düğmesi yoktur. Bir form, birden fazla katmanın her biri sorunun bir bölümünü yakaladığında iyi korunur; böylece bir katmanın başarısız olması kapıyı tamamen açmaz.

Kendi formlarınıza dokunmadan durumlarını görebilirsiniz. formexposed.com'daki ücretsiz kontrol herkese açık sayfalarınızı pasif olarak ziyaret eder; hiçbir şey gönderilmez. Her form için CAPTCHA, tuzak alan, CSRF token'ı ve zaman tuzağı bulunup bulunmadığını ve etkili biçimde yapılandırılmış görünüp görünmediğini gösterir. Tarayıcı ayrıca GDPR ve erişilebilirlik kontrolleri de yapar; bunların ayrıntıları tam raporun parçasıdır. Sonuç üç düzeyden biridir: Korunuyor, Kısmen korunuyor veya Korumasız. Bu, hangi katmanın eksik olduğuna karar vermek için iyi bir başlangıçtır.